L’IA nelle PMI: cosa richiede la legge svizzera sulla protezione dei dati

In breve

La nuova legge svizzera sulla protezione dei dati (nLPD) è in vigore dal 1° settembre 2023. È formulata in modo tecnologicamente neutro e vale quindi anche per l’IA. L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha sottolineato espressamente che la legge vigente è direttamente applicabile ai trattamenti di dati basati sull’IA. Non serve quindi una nuova legge sull’IA perché esistano degli obblighi.

Per una PMI questo non significa rinunciare all’IA, ma chiarire alcune cose prima di usarla.

Domanda 1: quali dati inserisco?

La cosa più semplice è che nessun dato personale finisca in uno strumento di IA. Scrivere un testo pubblicitario o un modello generico non è un problema. Diverso è il caso se inserite e-mail di clienti, offerte con nomi o dossier del personale.

Particolarmente delicati sono i cosiddetti dati personali degni di particolare protezione, come i dati sulla salute o le informazioni sulle convinzioni religiose. Questi non vanno inseriti in uno strumento di IA liberamente accessibile.

Domanda 2: dove vengono trattati i dati?

Molti fornitori di IA trattano i dati negli Stati Uniti o in altri Paesi. La nLPD consente la comunicazione all’estero se lì vige una protezione adeguata dei dati. Quali siano questi Paesi lo stabilisce il Consiglio federale in un elenco. Per gli Stati Uniti ciò vale solo per le aziende certificate secondo lo Swiss-U.S. Data Privacy Framework.

Per gli altri fornitori servono garanzie supplementari, di solito clausole contrattuali standard. Verificate quindi dove ha sede il vostro fornitore e quali contratti offre.

Domanda 3: il fornitore può addestrare i suoi modelli con i miei dati?

Nelle versioni gratuite molti fornitori si riservano di utilizzare i dati inseriti per migliorare i propri modelli. Le versioni Business ed Enterprise di norma lo escludono per contratto e offrono un contratto di elaborazione dei dati su incarico.

Un simile contratto è importante: se un fornitore esterno tratta dati personali su vostro incarico, la vostra azienda resta responsabile e deve garantire che li tratti solo nel modo in cui potreste farlo voi stessi.

Domanda 4: le persone interessate ne sono al corrente?

La nLPD esige trasparenza. Chi raccoglie dati personali deve informare le persone interessate, in pratica di solito tramite l’informativa sulla protezione dei dati. Se iniziate a usare strumenti di IA con dati dei clienti, va indicato lì, compresi i Paesi verso cui vengono trasmessi i dati.

Se un’IA prende autonomamente decisioni con conseguenze rilevanti per una persona, per esempio un rifiuto automatico, le persone interessate devono esserne informate e poter esprimere, su richiesta, il proprio punto di vista.

Lista di controllo per la vostra PMI

• Rilevate quali strumenti di IA sono già utilizzati nella vostra azienda, anche a titolo privato.
• Per il lavoro usate versioni business con account aziendali, non account privati gratuiti.
• Verificate l’ubicazione dei server, il contratto di elaborazione su incarico e la rinuncia all’addestramento.
• Stabilite in una breve direttiva sull’IA quali dati possono finire in quali strumenti.
• Aggiornate la vostra informativa sulla protezione dei dati.
• Fate sempre verificare da una persona i risultati importanti.

E se lo si ignora?

La nLPD prevede multe fino a CHF 250'000, per esempio in caso di violazione intenzionale dell’obbligo di informare. Una particolarità svizzera: a essere multate sono in primo luogo le persone responsabili, non l’azienda. Altrettanto grave è la perdita di fiducia quando i dati dei clienti finiscono dove non dovrebbero.

Questo articolo offre una panoramica generale e non sostituisce una consulenza legale. Per informazioni vincolanti sul vostro caso, rivolgetevi a uno specialista del diritto della protezione dei dati.